CVE-2024-36408

SQL Injection w kontrolerze Alerts aplikacji SuiteCRM

CVSS 9.6v3.1pub. 2024-06-10upd. 2024-11-21

SuiteCRM w wersjach przed 7.14.4 i 8.6.1 zawiera podatność SQL Injection w kontrolerze `Alerts`, wynikającą z niedostatecznej walidacji danych wejściowych. Podatność posiada krytyczny poziom CVSS 9.6 i umożliwia zdalnym atakującym manipulację bazą danych oraz potencjalne zakłócenie działania systemu.

▸ Pokaż oryginał (EN)

SuiteCRM is an open-source Customer Relationship Management (CRM) software application. In versions prior to 7.14.4 and 8.6.1, poor input validation allows for SQL Injection in the `Alerts` controller. Versions 7.14.4 and 8.6.1 contain a fix for this issue.

🤖 Analiza AI

Jak działa

Nieprawidłowa walidacja danych wejściowych w kontrolerze `Alerts` pozwala uwierzytelnionemu atakującemu na wstrzyknięcie złośliwych zapytań SQL. Poprzez odpowiednio spreparowane żądanie sieciowe możliwe jest przekazanie niezaufanych danych bezpośrednio do warstwy bazy danych bez ich właściwego oczyszczenia lub parametryzacji. Podatność jest exploitowalna zdalnie, bez konieczności interakcji ze strony użytkownika, co znacząco obniża próg jej wykorzystania.

Skutki

Atakujący może manipulować danymi w bazie danych (wysoka integralność) oraz powodować zakłócenia w dostępności systemu CRM (wysoka dostępność). Ze względu na zmieniony zakres (S:C), skutki mogą wykraczać poza bezpośrednio podatną aplikację.

Mitygacja

Należy zaktualizować SuiteCRM do wersji 7.14.4 lub 8.6.1, które zawierają poprawkę eliminującą tę podatność. Szczegóły dostępne w oficjalnym security advisory producenta.